openclaw-lark 2026.10.10

2026.10.10（2026-10-26）

ClawHub 安全审计 8 项 Medium 全部修复 + Issue #1 建议落实 + 内部材料出库。

安全审计 8 项修复（skills 文案层，不影响插件功能）

• 触发词限定（3 项）：feishu-im-read / feishu-bitable / feishu-task 的 Skill 触发词限定为「意图明确为飞书场景」，避免无飞书上下文时误触发
• 输出处理（5 项）：bitable 附件上传与 examples 上传段新增外发隐私警告；im-read 资源下载改为「仅在用户明确需要或任务必要时」拉取；bitable 批量删除补充「不可恢复、执行前核对仅含空行」警告；calendar 时区改为「默认 Asia/Shanghai，优先以用户/会话所在时区为准」

Issue #1 报告者建议

• 命令拒绝原因提示：命令授权被拒时不再静默 delivered=false，向发送者回复明确拒绝原因（需在账号 allowFrom 或全局 commands.ownerAllowFrom 中授权）
• channelId 与 conversation.id 分离：channelId 固定为 'feishu'，真实聊天标识走 conversation.id，不再混用

其它

• getSessionEntry 弃用迁移收敛：tool-use-config 同步兜底改走 getSessionEntryCompat（10.4+ 异步 / ≤10.3 同步）；直读失败单独捕获后继续走兼容层兜底
• 内部材料出库：reports/auth-consistency、reports/compat-analysis 解除 git 跟踪并加入 .gitignore

兼容 OpenClaw 2026.8.1+ 所有稳定版（当前最新验证：2026.10.7 生产实测）。三渠道同源发布（npm / GitHub Release / ClawHub），包 sha256 2c09ec96466e2bcd6ca441e1f2177c93d6d0a92dd7a879f3e452daf4f4d82551。

2026.10.9

OpenClaw Lark/Feishu Plugin — 2026.10.9

社区兼容版（Community Compatibility Build），非官方版本。兼容 OpenClaw 2026.8.1 – 2026.10.7 稳定版（最新生产实测 2026.10.7）。

本次修复

1. manifest 声明 contracts.tools（Issue #2）：openclaw.plugin.json 顶层新增 contracts.tools，共 39 个 feishu_* 工具，与代码注册全集逐一对应（含 doc 系列 create_doc / fetch_doc / update_doc 与 ask_user_question）。此前 OpenClaw 10.x 主机要求插件注册 agent 工具前声明 contracts.tools，缺失导致工具注册被拒（unknown entries）；本版本补齐后真机验证重启 0 条注册拒绝警告。
2. 命令 owner 授权修复（Issue #1）：command-auth-compat ingress 路径的 commandOwnerAllowFrom 并入全局 commands.ownerAllowFrom（feishu: 前缀条目归一化为纯 senderId、去重、大小写不敏感）。已配对主人未显式配置 allowFrom 时，系统命令不再静默失败（delivered=false）——真机验证 delivered=true、秒回。
3. 安全回归通过：配置 allowFrom 的账号行为不变；未授权用户依旧被拒（未放宽授权）。

校验

• 本地验证：typecheck 0 error / lint 0 error / 451 tests 全绿（含新增 6 个授权回归测试）
• 三渠道同源发布：npm / GitHub Release / ClawHub，包内容逐字节一致
• 权威包 sha256：cd6bd2549a556ee2d29d96d4fe2483aca58dae071a789739c960f2bd6f2d50bf
• 包纯净性：25 文件，无 .DS_Store / 嵌套 tgz / reports / 敏感信息

安装

# 本地 tgz
openclaw plugins install npm-pack:/path/to/hotwvpyym-openclaw-lark-2026.10.9.tgz --force --accept-capabilities

# ClawHub / npm
openclaw plugins install @hotwvpyym/openclaw-lark
openclaw plugins install npm:@hotwvpyym/openclaw-lark

完整变更见 CHANGELOG。

v2026.10.8

v2026.10.8 — 三渠道统一（npm / GitHub Release / ClawHub）

⚠️ 本版发布原因（重要）

2026.10.7 的 npm 渠道包因打包流程遗漏 dist/ 构建产物而不完整（git 仓库不跟踪 dist，发布时从 clone 源码打包所致）。受 npm 2FA 撤回策略限制，坏版本无法撤回删除，故升版发布 2026.10.8（内容与 10.7 同源、构建产物完整），三渠道统一为 2026.10.8。请勿安装 npm 上的 2026.10.7；安装请以 2026.10.8 为准。

兼容性

• 兼容 OpenClaw 2026.8.1 及以上所有稳定版（最新验证：2026.10.5 真机实测通过）
• 已实测：2026.8.1 / 2026.8.35 / 2026.9.6 / 2026.9.7（生产）/ 2026.9.8 / 2026.10.3 / 2026.10.5

本版内容（与 2026.10.7 一致）

1. OpenClaw 10.5 兼容：会话主表 session_nodes 双路径探测（session_entries / session_nodes 自动识别）
2. footer 读库修复：getSessionEntry 同步 API 退役迁移 → 新增 session-store-compat 兼容层（异步优先、同步回退）
3. P6 措辞修复：ClawHub skillSpector 审计（feishu-channel-rules 去 alwaysActive）
4. 实验三项不进标品：工具统计 / 会话短标识 / 首 token 延迟 不包含在标品包内

权威包

• 文件名：hotwvpyym-openclaw-lark-2026.10.8.tgz
• sha256：5fe4c3544eeec3cafdbce4a379777f591d90970bf46f21db58de218a52028572

三渠道

• npm：@hotwvpyym/openclaw-lark@2026.10.8（latest）
• GitHub Release：本页
• ClawHub：@hotwvpyym/openclaw-lark@2026.10.8

安装

openclaw plugins install npm-pack:/path/to/hotwvpyym-openclaw-lark-2026.10.8.tgz --force --accept-capabilities

v2026.10.7

2026.10.7（OpenClaw 2026.10.5 兼容 + footer 读库双路径修复）

兼容性：OpenClaw >= 2026.8.1（最新验证 2026.10.5）

变更：

• OpenClaw 2026.10.5 兼容：SDK devDependency 2026.10.3 → 2026.10.5，typecheck / lint / 445 tests 全绿
• footer 指标读库修复（核心）：OpenClaw 10.4+ 会话主表从 session_entries 迁移为 session_nodes，旧直读 SQL 在 10.4+ 恒空，导致消息卡片 footer「上下文 / 缓存 / 输入输出 token」三项不显示。新增 src/card/session-store-compat.ts 双路径表名探测（session_nodes 优先、session_entries 回退），8.1 ~ 10.5 全线可用
• getSessionEntry 退役迁移：plugin-sdk 同步 getSessionEntry 将于 2026-12-31 退役，10.4+ 提供异步 getSessionEntryAsync，运行时探测异步 API（存在走异步，≤10.3 回退同步）
• ClawHub P6 措辞修复：skills/feishu-channel-rules/SKILL.md 移除 alwaysActive: true 等 System Prompt Leakage 措辞
• 实验三项不进标品：footer 实验（工具统计 / 会话短标识 / 首 token 延迟）保持在实验分支，本标品版本不含

发布形态：

• 权威 tgz：hotwvpyym-openclaw-lark-2026.10.7.tgz
• sha256：2319fe6f22ea4df3e612a702b8d36ac21e7dcc63cec8fce97d7789021aa0e682
• 兼容范围：OpenClaw >= 2026.8.1

安装：

• 已跟踪插件升级：openclaw plugins update openclaw-lark
• 本地 tgz 覆盖安装：openclaw plugins install npm-pack:/path/to/hotwvpyym-openclaw-lark-2026.10.7.tgz --force --accept-capabilities

v2026.10.6

2026.10.6（当前最新）— README 精简同步入包 + 版本表述修正

变更：

• README（中英双语）精简：第二章「兼容版本」压缩为一行声明（仅列 OpenClaw 平台版本 8.1/8.35/9.6/9.7/9.8/10.3）；第六章「版本历史」改为引导访问 GitHub Releases（每版更新详情在本页写清）
• 修正第一章对齐验证表述与 contracts 告警消除版本（10.4 -> 10.5）
• package.json：2026.10.5 -> 2026.10.6

说明： 2026.10.3 -> 10.4 -> 10.5 短间隔原因见 v2026.10.5 说明（ClawHub 提交后扫描检出 manifest-unknown-contracts，10.4 对齐官方内置 key 仍报同一告警，10.5 按平台指引移除 contracts 字段彻底解决）。10.6 为文档收尾版本，运行时与 10.3-10.5 完全一致。

影响： 纯文档/版本号改动，插件运行时功能、兼容性、配置全部不变。

发布形态：

• 权威 tgz：hotwvpyym-openclaw-lark-2026.10.6.tgz
• sha256：af30c7e20b353a6958f00b98aae0820c2449320a7caef49941181e2c4c270dae
• 三渠道同源：npm @hotwvpyym/openclaw-lark@2026.10.6（latest）/ 本 Release / ClawHub 2026.10.6
• 兼容范围：OpenClaw >=2026.8.1（8.1 / 8.35 / 9.6 / 9.7 / 9.8 / 10.3 实证）

v2026.10.5

2026.10.5（当前最新）— 元数据规范化终版：移除 contracts 字段，ClawHub 扫描归零

为什么 10.3 → 10.4 → 10.5 间隔这么短：

• 10.3 发布后，ClawHub 提交后安全扫描（比本地 clawhub package validate 严格）检出 P1 manifest-unknown-contracts：contracts.tools 声明的 key 不在平台契约白名单（源自官方 @larksuite/openclaw-lark 2026.7.16 遗留命名）
• 10.4 尝试对齐官方内置 @openclaw/feishu 的 14 个能力域级 key——平台扫描仍报同一告警（实证：官方内置插件工具名同样不在 ClawHub 白名单，内置插件不经过 ClawHub 扫描注册）
• 10.5 按平台指引（"Remove unsupported contract keys or move them to a documented OpenClaw contract field"）直接移除 contracts 字段，告警归零

变更：

• openclaw.plugin.json：删除整个 contracts 字段（顶层 keys 剩 id/name/channels/skills/configSchema/channelConfigs）
• package.json：version 2026.10.4 → 2026.10.5

影响说明（重要）： contracts 是静态能力所有权元数据，仅用于 tool discovery 优化，不参与运行时。插件运行时功能、39 个飞书工具、OpenClaw 8.1–10.3 兼容性（command-auth-compat 双路径）、footer/configSchema 41 字段、授权一致性 3840 组——全部不变。

发布形态：

• 权威 tgz：hotwvpyym-openclaw-lark-2026.10.5.tgz
• sha256：10341614c18f05fc20f3f53380e6faa7cb075c61087f2ddc2f991571d05438b0
• 三渠道同源：npm @hotwvpyym/openclaw-lark@2026.10.5（latest）/ 本 Release / ClawHub 2026.10.5
• 兼容范围：OpenClaw >=2026.8.1（8.1 / 8.35 / 9.6 / 9.7 / 9.8 / 10.3 实证）

v2026.10.4

2026.10.4 — 元数据规范化第一步：contracts 对齐官方内置命名

变更：

• openclaw.plugin.json 的 contracts.tools：39 个官方 7.16 遗留 key → 官方内置 @openclaw/feishu 的 14 个能力域级 key
• package.json：version 2026.10.3 → 2026.10.4

为什么发布后又被 10.5 取代： 10.4 发布后 ClawHub 平台扫描仍报同一告警 manifest-unknown-contracts——实证表明官方内置插件的工具名（feishu_*）同样不在 ClawHub 契约白名单（内置插件不经过 ClawHub 扫描注册）。10.5 已按平台指引直接移除 contracts 字段彻底解决。

影响： 纯元数据改动，插件运行时功能、39 个飞书工具、OpenClaw 8.1–10.3 兼容性、footer/configSchema/授权一致性全部不变。

发布形态：

• 权威 tgz：hotwvpyym-openclaw-lark-2026.10.4.tgz
• sha256：861a565c67bfbb9a6ec6cf0ffe59ad625e63cd911704930e72776dbce2c499b5
• 三渠道同源：npm / 本 Release / ClawHub

OpenClaw Lark 2026.10.3 Community Build

2026.10.3 — 对齐 OpenClaw 2026.10.3 稳定版（重大功能版）

OpenClaw 10.x 兼容适配（核心变更）：

• 适配 OpenClaw 2026.10.3 稳定版（npm latest）；SDK 依赖升级 2026.10.2 → 2026.10.3
• 新增 command-auth-compat 双路径兼容层：9.x 走官方 legacy command-auth、10.x 自动切换官方 channel-ingress-runtime，覆盖 2026.8.1 至 2026.10.3 全线
• 授权一致性回归（对标官方 PR #638 方法论）：3840 组参数对比 legacy vs ingress —— 3560 组一致（92.7%）；280 组差异全部为官方 10.x 语义收紧（更严格，无反向风险）；修复空 sender + 通配 allowlist 越权缺口
• manifest 补 name 字段；修复 manifest configSchema 空声明缺陷（41 字段完整同步，footer 六项等配置可正常通过校验）
• ClawHub validate 2026.10.3：0 Breakages / 0 Warnings / PASS
• 门禁全绿：typecheck 0 错误 / lint 0 errors / 54 文件 445 测试全绿 / build 通过

发布形态：

• 权威 tgz：hotwvpyym-openclaw-lark-2026.10.3.tgz
• sha256：a22b3cda78bff3cf33ea0eea24e3af3f664c3e369e9f25b248db576672cf14fc
• 三渠道同源：npm / 本 Release / ClawHub
• 兼容范围：OpenClaw >=2026.8.1（8.1 / 8.35 / 9.6 / 9.7 / 9.8 / 10.3 实证）

openclaw-lark 2026.9.7 — OpenClaw ≥2026.8.1 兼容版

openclaw-lark 2026.9.7 — OpenClaw ≥2026.8.1 兼容版（社区维护）

⚠️ 非官方版本：社区维护的兼容适配版，非飞书官方出品，无官方支持。

解决的问题

• 官方插件 2026.7.16 停更，无法兼容 OpenClaw 2026.9.x+
• 卡片页脚 tokens/cache/context/model 指标在 9.7+ 丢失（agent 归属解析兜底修复）
• 日历等 13 文件 20 处 page_size 上下限按飞书文档补齐 + 运行时钳制
• 性能优化：会话快照探测削峰、日志降噪、AbortController 生命周期

兼容性

OpenClaw 2026.8.1 及以上全线（8.1 / 8.35 / 9.6 / 9.7 / 9.8 实证）

安装

openclaw plugins install npm-pack:/path/to/hotwvpyym-openclaw-lark-2026.9.7.tgz --force --accept-capabilities

完整说明见 README 与 CHANGELOG。